Docker هشدار داد که نقص حیاتی دور زدن و ارتقا سطح دسترسی با شناسه CVE-2024-41110 و امتیاز CVSS 10.0، بر نسخه‌های خاصی از Docker Engine تأثیر می‌گذارد و میتواند به مهاجم اجازه دهد تا در شرایط خاص پلاگین‌های اجراز هویت (AuthZ) را دور بزند.
توسعه‌دهندگان پروژه Moby در بیانیه‌ای گفتند: مهاجم میتواند با استفاده از یک درخواست API با طول محتوای 0، از یک نقص بای‌پس سوء استفاده کند که باعث می‌شود Docker daemon درخواست را بدون body به پلاگین AuthZ ارسال کند، که ممکن است منجر به تایید اشتباهی درخواست شود.
بنابر گفته Docker: این باگ یک regression (پسرفت) است و پیشتر در سال 2018 کشف شد و در Docker Engine نسخه 18.09.1 در ژانویه 2019 مورد بررسی قرار گرفت، اما هرگز به نسخه‌های بعدی (19.03 و بالاتر) منتقل نشد.
نقص مذکور پس از شناسایی در آوریل 2024 در نسخه‌های 23.0.14 و 27.1.0 از تاریخ 23 ژوئیه 2024 حل شده است. نسخه‌های زیر Docker Engine با فرض استفاده از AuthZ برای تصمیم‌گیری کنترل دسترسی، تحت تأثیر قرار می‌گیرند:
- <= v19.03.15
- <= v20.10.27
- <= v23.0.14
- <= v24.0.9
- <= v25.0.5
- <= v26.0.2
- <= v26.1.4
- <= v27.0.3, and
- <= v27.1.0
https://www.docker.com/blog/docker-security-advisory-docker-engine-authz-plugin
